OPAQUE 首席执行官 Aaron Fulkerson——访谈系列

Aaron Fulkerson是 OPAQUE 首席执行官，也是一位经验丰富的企业软件创业者和开源先驱。二十多年来，他一直致力于构建和扩展以信任、数据及数字化转型为核心的技术平台。2023 年加入 OPAQUE 之前，他创立了 MindTouch，帮助其发展为广泛应用的企业知识管理平台，随后该公司被 NICE Systems 收购。他后来还领导了 ServiceNow Impact 的推出，这是 ServiceNow 历史上增长最快的业务部门之一。整个职业生涯中，Fulkerson 一直在新兴技术、企业软件和开放生态系统的交汇处工作，同时为多家科技初创公司和组织提供咨询。近年来，他成为机密 AI（Confidential AI）的重要倡导者，认为随着 AI 系统融入企业关键工作流程，隐私、治理和可验证的信任将成为基本要求。

OPAQUE 是一家机密 AI 公司，起源于加州大学伯克利分校知名的 RISELab。这个研究生态也曾帮助孕育 Apache Spark、Databricks 等技术。公司开发的平台让企业能够利用高度敏感的数据运行 AI 模型、智能体和工作流程，同时获得可通过密码学验证的隐私与合规保障。OPAQUE 不要求组织在 AI 创新与数据安全之间二选一，而是利用机密计算、加密的运行环境以及经过硬件证明的执行机制，确保敏感信息在 AI 处理之前、期间和之后都受到保护。其技术面向金融、保险、医疗和高科技等受到严格监管的行业。客户和合作伙伴包括 ServiceNow (NOW )、Anthropic、Accenture，以及其他希望将 AI 项目从试点转入生产应用、同时避免泄露专有数据或受监管数据的企业。

您在职业生涯中构建并扩展了多个企业平台。是什么促使您担任 OPAQUE 首席执行官，并将下一阶段的重心放在信任、隐私和 AI 治理上？

我花了近二十年构建企业平台，先是在 MindTouch——它至今每年仍有十亿用户使用——后来是在 ServiceNow，我在那里打造了公司增长最快的产品。这两段经历让我明白了同一个道理：即使技术再强大，也只有获得人们的信任才能取胜。

当我见到 OPAQUE 联合创始人 Raluca Ada Popa、Ion Stoica 和 Rishabh Poddar 时，我看到了罕见的人才与愿景组合。Raluca 是全球最杰出的隐私与安全研究者之一。Ion 联合创立了 Databricks。Rishabh 构建的核心密码学系统成为 OPAQUE 的基础。

在加州大学伯克利分校 RISELab，他们创造了一项让我立即意识到具有划时代意义的突破：通过密码学证明，数据在每一个 AI 工作流程中始终保持私密。不是承诺，不是政策，而是证据。

我看到 AI 正在走向这样的未来：智能体以机器速度跨企业系统自主行动。我也看到了 Vint Cerf 三十年来一直警告的同一个缺口：缺乏信任层。互联网之所以能在没有这层保障的情况下生存，是因为人类充当了安全护栏。由智能体驱动的网络不会再有这种条件。这正是吸引我的原因。

MCP（模型上下文协议，一种让 AI 智能体安全访问工具、应用和数据的标准）正在成为共同基础。您认为它将如何改变企业部署和扩展智能体 AI 的方式？

MCP 是企业部署和扩展智能体 AI 的重要一步。可以将它理解为 AI 工作流程的通用连接器：它规范智能体连接工具、应用和数据的方式，减少实际阻碍，加快试验。

但仅仅规范访问方式，并不能让智能体 AI 变得安全或具备可扩展性。随着智能体、工具、数据源和连接数量增加，每一项新集成都扩大了数据可能泄露的范围。凡是在运行期间缺少规则强制执行机制的连接点，都可能成为暴露数据的途径。当 AI 智能体与敏感系统及专有逻辑交互时，仅靠静态数据加密和网络控制并不够。安全边界已经转移到运行阶段，而且随着生态系统规模扩大，这一转变更加迫切。

这些关键连接点是否具备可验证性，对企业将至关重要。只有将 MCP 式访问机制与密码学证据结合，证明运行了什么代码、在哪里运行、遵循什么政策，并覆盖执行前、执行中和执行后，企业才能扩展智能体 AI。访问加上可验证性，正是让系统进入生产应用的组合。

随着 MCP 规范智能体访问方式，您认为智能体驱动的系统目前在安全、政策强制执行和信任方面最大的缺口在哪里？

我们完成了 2026 年 AI Leak Surface 研究，并发布了研究结果摘要《AI 技术栈泄露数据的十二种方式》，其中谈到了这个问题。我们识别出分属 8 类的 46 条数据暴露途径，覆盖 AI 的整个信任边界：计算、控制、应用及其相互交接环节。这还没有考虑恶意行为者。我们说的是系统没有损坏、日志看起来正常，却依然泄露数据的情况。

最大的缺口不在连接能力上；MCP 正在解决这一点。缺口在于智能体建立连接之后发生的事情。多数组织回答不了三个基本问题：我们的 AI 究竟如何行动？谁在控制它？我们怎样证明政策得到了强制执行？

我们的研究发现，边界虽然被配置好，却从未真正得到强制执行。政策存在于文档、配置文件或部署时的设置里，但运行中的系统并不受它约束。面向高管的 AI 助手把重大非公开信息放进日历邀请。RAG 助手向初级分析师提供本应供董事会使用的财务资料。供应商的 SDK 在 12 个月内悄悄向外传输了 1000 万条查询。在每种情况下，访问控制都已部署，数据却照样泄露。

在企业弥合“配置了政策”和“强制执行政策”之间的差距之前，MCP 只是规范了前门，房子却仍然无人看守。

当 AI 智能体获准访问敏感系统和专有数据时，会出现哪些企业往往尚未准备好应对的新隐私与合规风险？

多数企业从数据静态存储或传输的角度考虑隐私。但在智能体工作流程中，这种模型会失效，因为最大的风险是数据在使用过程中被暴露。

举个例子，一家高性能汽车制造商在装配线上使用 AI。原始数据看似无害：传感器读数、时间序列和质量检查。但大语言模型如今能够从运营过程中附带产生的数据痕迹中，重建专有制造工艺。五年前只是噪声的信息，现在已经成为竞争对手可用的蓝图。

我们的 AI Leak Surface 研究在数十种场景中记录了这种模式。运营遥测工具默认收集完整的 AI 数据载荷。一家欧洲银行有 210 万条包含个人身份信息的提示词流入美国的 SaaS 实例，只因为没人修改应用性能监控（APM）的默认设置。智能体记忆会在会话之间泄露上下文。思维链追踪把完整调查记录暴露给承包商可以访问的可观测性平台。传统合规框架并不是为了发现这种泄露而设计的，它们假定数据由人类以人类速度搬运。

为什么机密 AI 正在成为 MCP 必不可少的补充？它如何解决仅靠访问标准无法解决的问题？

MCP 解决谁能访问什么、如何访问的问题；机密 AI 解决获准访问之后发生的事情。它们是互补的层次。

仅靠访问标准，无法防止运行期间的安全失陷、政策逐渐偏离预期，或未经授权的数据使用。可以这样理解：MCP 提供一种将智能体接入系统的标准方式；机密 AI 则提供密码学保障，确保智能体接入后只能做获准的事，而且你能证明这一点。

机密 AI 在运行期间为数据、身份、代码和通信提供这些保障。它给出可验证的执行证据，确保隐私保护和政策强制执行不会止于访问边界，而是在 AI 主动推理、生成和行动时持续生效。缺少这一层，MCP 仍然是坚实的基础，但仅有基础并不能保证建筑安全。

对一家在关键工作流程中使用自主 AI 智能体的企业来说，可验证的信任在实践中是什么样的？

可验证的信任意味着，我能证明运行了什么代码、在哪里运行、遵循哪些政策、访问过哪些数据，以及系统在一段时间内如何行动。

以一家使用 AI 智能体处理索赔函的保险公司为例。执行前，硬件证明验证智能体身份和运行环境的完整性。执行中，受硬件保护的可信执行环境（Trusted Execution Environment，TEE）内的密码学政策绑定机制，确保数据受到保护、政策得到强制执行。执行后，防篡改审计记录准确记载发生了什么。

智能体工作流程的风险并不是智能体失控。真正的风险是，你无法证明智能体运行时政策是否得到强制执行、敏感数据是否受到保护——涵盖执行前、执行中和执行后。这就是可验证的信任所要解决的问题。

当智能体系统以机器速度运行时，传统人类监督为什么会失效？组织应如何在这个新环境中重新思考治理？

几十年来，互联网一直有一道无形的安全护栏：我们。人类会阅读内容、有意识地点击，不会悄悄地在一百个系统中同时行动。

智能体 AI 在一夜之间打破了这些假设。智能体持续运行，以机器速度决策，还可能被那些为人类设计、却可被机器利用的环境操纵。恶意网页不必像欺骗人类那样欺骗 AI，只需直接向它发出指令。

即使每个智能体的风险只有 1%，一个由 100 个智能体组成的网络也面临 63% 的安全失陷概率。扩展到一千个智能体，这个概率就是 99.99%。要求人类参与流程的治理方式跟不上这些数字。监督必须从事后反应式审查转向运行期间的保障。这意味着零信任工作流程、默认强制执行政策，以及不依赖人类在事后发现故障的可验证执行。

您最常看到企业在缺乏内置信任层的情况下试验智能体 AI 时，出现哪些安全失误？

我最常看到的模式是，企业在没有任何密码学行为保障的情况下，让智能体自行行动和协调。它们处理着敏感的知识产权，却只能寄希望于不出问题。

接下来的结果可以预见，我们在 AI Leak Surface 研究中记录了具体模式。运行期间的安全失陷会绕过传统边界防御，因为智能体已经在网络内部。自主智能体链会导致级联故障；一个遭到利用的智能体，就能在相连系统中触发多米诺效应。专有逻辑通过无人想到要监控的数据痕迹泄露。由于运行期间缺少可验证的身份或政策绑定，智能体无法区分企业意图与恶意输入。

这些不是假设。我们绘制了 46 条数据逃离预期控制的途径，即使系统表面上没有任何损坏也会发生。AI 智能体以机器速度生成和共享数据。如果工作流程没有内置可验证的运行期保护措施，故障传播的速度就会超过任何安全团队发现或响应的速度。

领先组织如何在发挥先进 AI 能力的同时，保护最敏感的数据资产？

做得好的组织把隐私和治理当作加速器，而不是刹车。这是关键认识。

我在实践中看到，领先企业将先进 AI 能力与提供可验证保障的机密 AI 平台结合，而不只是依赖合规检查清单。它们让敏感数据能够用于 AI 创新，同时确保专有信息在工作流程自主运行时依然受到保护。

过去，人们把问题描述为能力与安全之间的取舍。推进最快的组织已经彻底拒绝这种权衡。它们把可验证的信任嵌入 AI 战略的基础，从而能够利用最有价值的数据。与此同时，竞争对手还困在试点阶段，只能让 AI 使用经过清理、却无法带来实质成效的数据集。

根据您目前的观察，随着智能体系统从试点走向全面生产应用，未来几年企业 AI 治理模式将如何演变？

治理将从文书工作走向证据。这是我能想到的最简单说法。早期治理模型面向的是按人类节奏运作的软件：纸面政策、部署前审批、出问题后的审查。智能体系统打破了每一项假设。它们持续运行、自主行动，并以机器速度产生级联影响。

我们看到治理正转向把运行期可验证性作为新的安全边界，以密码学保障证明智能体在生命周期每个阶段的行为——执行前、执行中和执行后。我们在 HTTPS 上看到的同样模式，正在成为网络流量的默认做法。如今已没有人争论是否应加密网络连接。再过几年，也不会有人争论是否应在运行期间验证 AI 的执行。这将成为基本要求。

感谢这次精彩的采访。想进一步了解的读者可以访问 OPAQUE。